Anthropic 发布 Cyber Mission，为关键基础设施和 OSS 提供防御支持

Anthropicは2026年10月8日、重要インフラとオープンソースソフトウェア（OSS）をサイバー攻撃から守る長期的な取り組み、Anthropic Cyber Missionを発表した。その一環として、重要インフラ向けの支援プログラムと、OSSの脆弱性を無料で定期検査するサービスを立ち上げた。

背景には、AIによって脆弱性を発見しやすくなる一方、その検証や修正には人手と時間がかかるという課題がある。今回の取り組みは、脆弱性の発見と修正を進めてきたProject Glasswing[1]での経験から生まれた。

[1] Project Glasswingは、拡大版のCyber Verification Programに統合されている。先日の記事「Anthropic⁠⁠、Cyber Verification Programを拡大」も参照のこと。

We’re launching the Anthropic Cyber Mission, a new effort to secure critical infrastructure and open-source software. https://t.co/0tz0ARAEMj— Anthropic (@AnthropicAI) October 8, 2026

重要インフラ向けにClaudeモデルと技術支援を提供

重要インフラ向けには、Anthropic Cyber Missionの一環であるCritical Infrastructure Defense Programを通じて、まず電力網や水道、工場、交通網などを支える制御システムを含むOT（Operational Technology）の防御を支援する。インフラ事業者が頼るセキュリティ企業や機器メーカーなどに、先端のClaudeモデル、現場で支援するエンジニア、脅威研究の知見を提供する。

OTでは、修正プログラムを適用するために設備を停止できず、既知の脆弱性が長く残ることがある。対策には設備や運用の専門知識も必要になる。Anthropicはまず少数のパートナーと協力し、現場で有効な防御方法を探る。

初期パートナーには日立製作所、Rockwell Automation、Dragos、CrowdStrike、Palo Alto Networksなどが参加する。一部のパートナーはすでにClaudeを使った脆弱性修正に取り組んでいる。

今後は参加企業や対象分野を広げる予定で、参加希望の登録フォームを公開している。フォームでは、申請する組織が現在支援している重要インフラの分野として、上下水道、エネルギー、交通、重要製造業、その他を選択できる。組織の種別には、セキュリティ企業や機器メーカーに加え、インフラ運営事業者、政府機関、非営利団体なども含まれる。

Cyber Missionでは、こうしたOTの防御に加え、政府機関のシステムの保護にも取り組む。

OSS Scannerで無料の定期検査⁠、人の確認を経ずにレポートを送付

OSS向けには、脆弱性を無料で定期検査するOSS Scannerを提供する。対象は、ほかのソフトウェアや利用者の安全性に大きく関わるOSSプロジェクト。参加には主要メンテナーによる申請が必要となる。Anthropicは、対象プロジェクトが遠隔攻撃にさらされる可能性、利用者数、そのプロジェクトに依存する他のプロジェクトの数などを考慮し、参加の可否を個別に判断する。

検査にはClaude Mythosを含む同社の高性能モデルを使う。メンテナーには、問題を再現するコードや脆弱性の説明を含むレポートがメールで届く。用意できる場合は修正パッチ案も添えられる。

Launching an opt-in vulnerability-finding service for open-source software - Anthropic

Anthropicによると、発表までの6カ月間に、同社のモデルで2万9000件を超える脆弱性候補を検出した。しかし、Anthropic側での人手による確認や選別が追いつかず、作業を終えたのは約6000件にとどまった。一部のメンテナーからは未検証の報告もまとめて受け取りたいという要望があり、OSS Scannerではモデルが生成したレポートを、人による確認や選別を経ずに届ける。

OSS Scannerでは報告を早く受け取れるが、誤検出や深刻度の過大評価が含まれる可能性もある。このため、メンテナー側で内容を検証・選別できるプロジェクトを想定している。一方、Anthropic側が人手で脆弱性を検証し、メンテナーに非公開で通知する活動も継続する。自ら報告を検証する余力がないプロジェクトなどには、引き続きこの方法で情報を届ける。

申請時には、対象リポジトリや連絡先を記した設定ファイルと、検査環境を構築するDockerfileを用意し、OSS Scannerのリポジトリへプルリクエストを送る。Anthropicは参加前に、申請者が主要メンテナーであることを人手で確認する。詳しい条件や申請方法はFAQを参照のこと。

OSS Scannerとは別に、OSSの開発・保守を支援するClaude for Open Sourceも提供している。プロジェクトの利用規模やOSSへの貢献実績などをもとにメンテナーや貢献者を選び、Claude Max 20xを6カ月間無料で提供する。9月10日には、同社のLydia Hallie氏がXで、無料提供期間の終了が近い参加者も、引き続き積極的に保守に取り組んでいれば再申請できると案内している。

コラム⁠：OpenAIも重要インフラとOSSの防御を支援

OpenAIも、防御担当者にAIモデルやツールを提供するDaybreakを通じて、重要インフラやOSSの保護に取り組んでいる[2]。

9月3日には、人員や予算が限られる組織を支援するDaybreak for Frontline Defendersを発表した。上下水道や電力網の事業者、州政府や地方政府、地域金融機関、非営利団体、OSSメンテナーなどを優先対象に、10億ドル規模のDaybreak利用費用の補助を表明し、研修や技術支援も提供する。米国から支援を始め、発表から数週間でパートナー国にも広げる計画を示している。

広く使われる重要なOSSのメンテナーに向けては、6月22日に発表したPatch the Planetで、セキュリティ企業のTrail of Bitsと協力している。初期参加プロジェクトにはcURL、Go、Pythonなどが含まれる。AIで見つけた脆弱性候補を専門家が検証し、重複や深刻度を確認してからメンテナーに報告する。修正パッチの作成やテスト、脆弱性情報の公開に向けた調整も支援し、報告を受け取るメンテナーの負担を減らす。

OSSの開発・保守を支援するCodex for Open Sourceも提供している。プロジェクトの利用状況や重要性、継続的な保守活動などをもとにメンテナーを選び、Codexを含むChatGPT Proを6カ月間無料で提供する。9月15日には、同社のCharlie Marsh氏が、月額100ドルのProプランによる支援枠を5000件から1万件に広げるとXで発表し、過去の採択者にも再申請を案内している。

[2] 開発者向けの製品でも、9月29日にCodex Security Cloudの更新を発表した。GitHubリポジトリの検査や修正案の作成に、Daybreak Blueで提供する防御用途のモデルを利用でき、Security Cloud内で使う場合はDaybreakへの別途申請が不要。デスクトップ版とWeb版でプラグインとして提供し、対象プランはPro、Business、Enterprise、Edu。